보안으로 혁신하라

저자 : 신수정

출판사 : 엘컴퍼니

“우리회사는 사고가 난 적이 없을까?”

이 책을 여는 첫 질문이다. 많은 사람들이 착각하는 것 중 하나는 문제가 발생하기 전에는 모든 것이 잘 되고 있다고 하는 생각이다. 비단 보안뿐만 아니라 우리가 대하고 있는 모든 것들이 같은 이치가 아닐까 하는 생각이 들었다. 그래서 ‘소 잃고 외양간 고친다’는 속담은 오랜 시간을 두고도 누구나 공감하는 것이 아닐까 싶다. 그런데 우리는 왜 소를 잃기 전에 외양간을 좀더 견고히 할 생각은 하지 못하는 것일까? 나는 종종 후배들에게 1:10:100의 법칙을 이야기 하곤 한다. 프로젝트에 대한 이야기 이기는 하지만 계획단계에서 잘못된 오류를 발견해서 그 오류를 수정하는 비용은 1이 소요되지만 실행단계에서 발견되어 수정하려면 10이 들어가고 종료 이후 발견되어 수정되려면 100이라는 비용이 소요된다는 법칙이다. 요즘처럼 정보에 대한 가치가 천정부지로 상승하는 시대에는 어쩌면 100이 아니라 기업의 존재 자체가 위태로워 질 수도 있을 것이다. 그래서 무엇이든 예방이 중요한 법이고 예방을 하려면 그 본질을 명확히 이해하는 데에서 출발하는 것이 아닐까 싶다. 그런 의미에서 이 책은 그간 보안이라는 다소 기술적 냄새가 나는 영역을 경영자와 관리자의 관점에서 들여다볼 수 있는 좋은 기회를 제공하지 않았나 하는 생각이 든다.

책은 기존에 출간된 보안관련 서적과는 두렷하게 다른 3가지 정도의 다음과 같은 특징을 가진다. 첫째, 기술중심적이지 않다. 이것은 무척이나 중요한 이야기라고 볼 수 있다. 책에서도 상당부분 언급되는 것 중 하나는 보안 강화라고 하면 무조건 솔루션 도입부터 검토하고 보는 우리나라의 현실을 지적한 부분이다. 성만 높이 쌓는다고 적이 침입하지 못할 것이라 생각하는 것만큼 어리석은 것은 없을 것이다. 둘째, 경영자를 비롯한 기업의 임원들이 바라 봐야 하는 보안에 대한 시각을 제시한다. 많은 기업의 보안관리자들은 기술적 언어를 사용한다. 그렇다 보니 기업을 움직이는 경영자들의 눈높이에서 보안을 풀어주기란 쉽지 않은 것이 사실이다. 그런 관점에서 이 책이 주는 의미는 경영자가 편하게 읽어 내려갈 수 있는 책이라는 점일 것이다. 셋째, 보안에 관련된 많은 오해들을 풀어준다. 내가 속한 기업을 비롯 많은 기업들이 착각하고 있는 다양한 보안관련 이슈들에 대해 오해와 진실을 가감 없이 써내려 간다. 그렇다 보니 경영자뿐 아니라 실무자에게도 흥미로운 부분이 많다는 것이 마지막 특징이 아닐까 생각한다. 그럼 책을 좀 살펴보자

이 책은 전체를 네 부분으로 구성하고 있다. 그런데 세부적으로 보면 1장과 2장을 통해 ＜보안 공격과 위협 그리고 방어대책의 오해와 진실＞을 풀어주는 부분과 3장의 ＜정보보호 관리를 위한 비밀＞, 마지막 4장에서 ＜더 나은 정보보안을 위하여＞의 3부분으로 볼 수 있을 것이다. 우선 첫 번째인 ＜보안의 공격과 위협 및 방어대책의 오해와 진실＞ 부분에서는 말 그대로 창과 방패에 대한 이야기를 하고 있다. 그런데 창이라고 해서 모두 위협적인 것이냐? 그렇지는 않다는 것이다. 특히 상당히 많은 보안 유출사고가 고급 기술을 가진 해커에 의한 것이라기 보다. 내부 임직원이 가진 취약성, 즉 사람이라는 사실을 인지한다면 어떤 방패를 가지고 막아야 하는 것인지도 분명하게 그려진다는 것이 저자의 설명이다. 그런 관점에서 책에 소개된 전설적인 해커이자 현 미트닉 시큐리티 컨설팅의 최고경영자인 캐빈 미트닉의 말은 경영자들이 곰곰히 생각해야 될 부분이 아닐까 싶다.

“보안 상품 자체가 완벽한 보안 체계라고 생각하는 사람은 보안이라는 착각 속에 만족하고 있는 것이다. 보안 기술자가 더욱 더 완벽한 보안 기술을 발명해서 기술적 취약점을 보안하더라도 더욱 더 많은 공격자는 사람이라는 요소를 이용하려 할 것이다. 사람이 바로 가장 약한 고리이다.” –p181

다음으로 다루는 주제인 ＜정보보호 관리를 위한 비밀＞에서는 우리가 생각하는 보안관리가 과연 올바른 방법으로 흘러가고 있는가에 대해서 다룬다. 특히 국내와 해외의 보안 관리 현실을 비교한 부분에서는 무릎을 쳤다. 예를들면 국내 기업은 보안을 일률적으로 적용하지만, 외국 기업은 위험기반으로 적용한다 던지 정보보호 정책이 수립되면 CEO 부터 신입사원까지 누구나 지킨다고 하는 원칙과 그 원칙에 결코 예외를 두지 않는다고 하는 점등을 들 수 있다. 곰곰히 현재 우리 기업의 보안 관리를 들여다 보면 왜 이런 이야기가 공감 가는지 고개가 끄덕여 질 것이다. 모든 정보에 동일한 보안 수준이 적용되다 보니 간단한 업무처리에도 지연이 발생한다 던지 정작 중요한 임원들의 PC는 보안 예외가 적용된다 던지 하는 것들이 국내 다수 기업들의 보안 현실이 아닐까 하는 생각을 해본다.

마지막으로 ＜더 나은 정보보안을 위하여＞를 통해서는 더욱 더 복잡해지고 교묘해지는 정보보안 영역을 대하는 CEO, CSO에 대한 저자의 제언이 담겨있다. 특히 책에 언급된 하인리의 법칙 – 1:29:300의 법칙으로도 불리며 큰 대형사고 1건은 29건의 크고 작은 사고와 300건의 전조증상에 의해 발생한다는 법칙 – 을 기억하고 현재 우리기업은 안전하다는 믿음을 버리고 외부에서 발생한 다양한 보안사고들을 간과하지 말며 조직이 가진 보안 수준을 관리하기 위해 어떤 질문을 던져보아야 하는가를 끈임 없이 고민하라는 것이 저자의 메시지다.

오늘날 처럼 무형의 자산인 정보가 유형의 자산보다 더 큰 가치를 지니는 경우가 많은 현대사회에서 정보에 대한 보안은 기업의 생존이 걸린 문제라는 사실은 더 이상 새로운 이야기가 아닌 듯 보인다. 이것은 모두가 그렇게 인지는 하고 있으나 실제 조직 내 사상(思想)으로 녹이지는 못한다는 것과 일맥상통할 것이다. 그래서 저자는 말미에 보안 체계를 끈기 있게 구성하고 실행하면서 진화시키라고 충고하면서 이를 위해서는 기업에 있는 모든 임직원의 ‘태도’와 ‘인식’이 선행되어야 된다고 강조한다. 기술은 갑자기 높은 수준으로 향상될 수 있지만 의식이나 프로세스는 갑자기 높은 수준으로 향상될 수 없기 때문이다. 그래서 보안이 기업의 혁신에 방해 요소가 아닌 혁신의 동반자로 함께 움직여야 한다는 것이다. 많은 기업의 보안 관리자와 그 상위에 위치하는 임원들에게 현재 자신의 기업에 보안수준을 돌아보고 어떻게 할 것인가 하는 통찰을 얻을 수 있는 기회를 주지 않았나 하는 생각을 해본다.

노래하는 멘토르

올해 3.20 굵직한 또 하나의 사건을 보냈습니다.

무엇이 잘못되었을까.. 어떻게 하면 바로 잡을 수 있을까..

이 책은  많은 실사례를 통해서 경영진, IT와 보안담당자의 동상이몽 그대로의 현상을 여과없이 보여줍니다.

저 깊은 곳의 불편한 진실까지 보여주는 기법은 아마도 저자 신수정 교수님이 심리학 전공이 아닐까하는 착각이 들 정도입니다. 사실 좀 이부분은 불편한게 맞습니다. 조금 먹먹하기도 하지만...

하지만..

교수님은 여기서 그치지 않습니다. 각 자의 입장에서 왜 그랬었는지, 원인과 착오는 무엇인지, 해결방안은 무엇인지 시원하게 이책의 본문에 긁어놓았습니다. 어려운 용어의 개념도 느낌이 와닿게 쉽게 풀어 놓아서 어쩌면 평이한 컬럼집이 아닌가 할 수도 있지만(이 부분은 이책의 최대 장점입니다.) 주제별 뼈대의 논리적 전개는 해외 유명 출판물인가 하는 착각도 들게합니다. 

앞으로 66개와 관련 이슈에 대한 심도있는 고찰과 판단이 요구될 때를 대비해서, 책에 인덱스를 달아 놓고 한페이지로 요약해서 업무책상위에 같이 올려 놓고 되새김 해야 겠습니다.

2권을 기다립니다.

저자는 기술도 중요하지만 사람이 중요하다는걸 표현하는 듯 합니다. 아무리 좋은 솔루션과 좋은 기술이 있다고 해도, 그것을 운영하는 사람에 따라 하늘과 땅차이가 날수 있다는걸 얘기합니다.

특히나 이책은 내용이 보안에 관해 알지 못하는 특히 보안사고등으로 금융권등에 임명된 보안을 전공하지 않은 CIO,CISO가 읽기에도 정말 도움이 될 듯 합니다. 실제 사례를 중심으로 저자가 그동안 현장에서 보고 느낀 내용이 표현되어 있어서, 다른 어떤 보안서적보다 쉽게 다가왔습니다.

보안업무를 하지 않는 일반인과 CEO등이 이책을 본다면 IT보안이라는것이 얼마나 중요하고, 개인뿐만아니라 회사전체에 현재 어디선가 잠재되어 서서히 발생되거나 이미 발생되어 모르고 있을지 모르는 보안문제에 대해 돌아볼 수 있을거라 생각됩니다.

보안 1세대인 저자가 지금 현재도 현장에서 느끼고 고민한 내용을 작성한 내용이라 믿음이 가고, 2권도 기대가 됩니다.